CVE-2026-110682 in Cpanel::JSON::XS
Sumário
de VulDB • 20/10/2026
As versões do Cpanel::JSON::XS desde a 4.42 até antes da 4.80 para Perl permitem que o *chunking* de entrada altere o valor decodificado dos números no nível superior (*top-level*) durante o uso de `incr_parse`.
A opção `allow_nonref` está habilitada por padrão e é herdada pelo `incr_parse`. Um número, verdadeiro (`true`), falso (`false`) ou nulo (`null`) no nível superior não possui um delimitador de fechamento; portanto, o parser incremental decodifica qualquer dado que tenha chegado. Os bytes "12" são interpretados como um único valor quando lidos juntos, mas como 1 e depois 2 quando divididos em duas leituras distintas.
Um par (*peer*) capaz de influenciar os limites de leitura pode alterar a quantidade de mensagens que o consumidor do fluxo decodifica e quais valores elas carregam.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.